私はいかにして巨大なセキュリティホールを講義中にたまたま見つけたか | POSTD
数週間ほど前にオランダのウィンデスハイム実務専門大学校で客員の講師として講義を行いました。私自身、同学校の卒業生で、恩師たちと連絡を取り続けています。最近、恩師の1人から、多くの学生がITのセキュリティとハッキングについて深く学びたがっているという話があり、客員として講義しないかと招待がありました。喜んで！ 講義を面白くするためにハッキングのデモも行うことにしました。 ハッキングのデモを始めたときに、学生に企業の名前を聞き、続いて私がその企業のセキュリティを検査したら面白そうだと考えました。次の段階で全く驚きの発見をしてしまい、その企業のセキュリティを保護するため、デモの方向性を変えざるを得ませんでした。 ユニリーバをハッキング？ ある学生がオランダでも有名な企業であるユニリーバの名を挙げ、私はこの企業を調べるのが良さそうだと思いました。もちろん法律の範囲内で、です。ユニリーバのサイトのH
Pingの発展版 : httping, dnsping, smtpping | POSTD
私はpingが大好きです！簡単に使えて、ネットワークが稼働しているかを直接明らかにできます。 「 Pingはセキュリティの欠陥ではない!(むしろ友達である) 」、「 Traceroute上級 」の記事をご参照ください。少なくとも、外行きのping(trust(=信頼されるゾーン)からunstrust(=そうでないゾーン)へ)はセキュリティ上の心配なしに用いられるべきです。しかし、これらのuntrustからDMZへのICMPエコー・リクエストは多くの会社で拒否されているため、すべてのサーバが起動・稼働しているかをテストするのが困難になっています。 私は、顧客のサイトのDMZファイアウォールの置き換えに取り組んでいました。当然ながら私は「すべてのサーバが適切に接続されているか(NAT)」「ファイアウォールが接続を許可しているか(ポリシー)」を(外部から)知ろうとしました。 そこで私は、さまざま
「Google Drive」、無料ストレージ2GBをプレゼント中ーー「セキュリティ診断」完了で | ゴリミー
オンラインストレージが多いことに越したことはない。無料でもらえるものはもらっておこう！ 昨年に引き続き、今年も「Safer Internet Day 2016」を記念してGoogleアカウントの「セキュリティ診断」を行ったユーザーに対し、「Google Drive」の無料ストレージを2GB追加してもらえるプレゼントキャンペーンを実施している！ アカウントの復旧情報や接続端末、権限の確認など 僕の場合、なぜか「セキュリティ診断」の内容がすべて英語で表示されていたが、アカウント復旧情報、接続端末、アカウント権限の確認を済ませるだけで無料ストレージ2GBが手に入るのだ。作業時間も2、3分で終わる内容となっているため、自分のGoogleアカウントのセキュリティ状況を確認しつつ行うべし！ なお、僕も試したところ無事2GBのストレージが追加されていることが確認できた。昨年に引き続き2回目のキャンペーン
1Passwordの保管庫を安全な「OPVault」に変更する方法
PCはもちろんiPhoneやAndroidなどスマートフォンでも手軽に強固なパスワードを作りだし、使い回しなど煩雑になりがちなログイン情報の管理もラクになる大人気のパスワード管理アプリ「1Password」ですが、旧形式のAgile Keychainを利用していると問題があるとのことでセキュリティ界隈が賑わっているようです。 というわけで、1Passwordの保管庫を旧形式のAgile Keychainから新形式のOPVaultに変更する方法を書いておきます。 旧形式のAgile Keychainでは平文で一部の情報を閲覧できてしまうとの指摘 「Agile Keychain」と「OPVault」とは？ 1Passwordではパスワード以外にもキャッシュカードや自宅の住所、Wi-FiのSSIDやパスワードなど様々な個人情報を「保管庫」に保存しています。 この保管庫には2種類の形式があって、「
診断くん
133.242.243.6 (133.242.243.6) 判定：プロクシです proxy判定箇所が 1箇所、 疑惑点が 1箇所ありました。 漏れ判定：漏れてはいないようです 総合評価：A 極めて物静かなproxyです。proxy経由であることを示す情報がほとんどありません。
ほぼ全てのインジェクション攻撃を無効化／防止する入力バリデーション 〜 ただし出力対策も必須です 〜
(Last Updated On: 2019年2月18日)入力バリデーションはセキュリティ対策として最も重要なセキュリティ対策です。なぜセキュリティ対策であるのか？を理解していない方も見かけますが「ほぼ全てのインジェクション攻撃を無効化／防止する入力バリデーション」の効果と拡張方法を見れば解るのではないでしょうか？ ソフトウェア開発者が知っておくべきセキュリティの定義／標準／ガイドで紹介しているセキュリティガイドラインでは入力バリデーションが最も重要なセキュリティ対策であるとしています。 厳格な入力バリデーションを行うと、開発者が意識しなくても、非常に多くの脆弱性を利用した攻撃を防止できます。今回は比較的緩い入力バリデーション関数でも、ほとんどのインジェクション攻撃を防止できることを紹介します。 重要：セキュア／防御的プログラミングでは入力と出力のセキュリティ対策は”独立”した対策です。ど
ポートスキャンツール「Nmap」を使ったセキュリティチェック | さくらのナレッジ
サーバーの基本的なセキュリティ対策の1つとして重要なのが、ネットワーク内のどのマシンがどのポートでサービスを提供しているのかを把握することだ。このために有用なのが、ポートスキャナと呼ばれるツールだ。本記事ではポートスキャナとして有名な「Nmap」というソフトウェアを使用し、ポートスキャンを行う方法について解説する。 定番のポートスキャナ「Nmap」とは 対象として指定したホストに対してポート番号を変えながらIPパケットを送信し、その反応を調べることでどのポートが外部からアクセス可能なのかを調査する行為をポートスキャンと呼ぶ。Nmap（Network Mapperの略）は、オープンソース（GPLv2ライセンス）で開発・提供されているポートスキャンツール（ポートスキャナ）だ。NmapではOSが提供するソケット機能を利用するだけでなく、ポートスキャンに使用するパケットを独自に生成することで、高速
JEP 223: New Version-String Schemeをテキトーに訳した - kagamihogeの日記
http://openjdk.java.net/jeps/223 をテキトーに訳した。 JEP 223: New Version-String Scheme Summary JDKのバージョン文字列規則をメジャー・マイナー・セキュリティアップデートリリースを区別しやすいように修正します。 Goals 人間が理解しやすく、また、プログラムがパースしやすいようにします。 現在の業界標準、具体的にはSemantic Versioningに合わせます。 既存のパッケージングシステムとプラットフォーム依存のメカニズムであるRPM, dpkg, IPS, Java Network Launching Protocol (JNLP)などが使用可能なものにします。 バージョン文字列の一つの要素に二種類の情報を混ぜ込む現行方式を削除します。すなわち、マイナーリリース番号とセキュリティレベルでは解読が難しく、
glibc の脆弱性 CVE-2015-0235（通称：GHOST）についてまとめてみた - piyolog
2015年1月27日(現地時間) Qualysはglibc(GNU C Library)に脆弱性を発見し、情報を公開しました。ここでは関連情報をまとめます。(暫定まとめなので精度低め、網羅性無しです。。) (1) 脆弱性関連情報 Qualysが公開した脆弱性情報 The GHOST Vulnerability Qualys Security Advisory CVE-2015-0235 注意喚起 IPA (注意) libc の脆弱性対策について(CVE-2015-0235) 脆弱性の概要 glibcの__nss_hostname_digits_dots() にヒープバッファオーバーフローの脆弱性。 当該関数はglibcのgethostbyname()とgethostbyname2()から呼ばれている。 アプリケーションによっては、DoS、またはリモートから任意のコードが実行可能となる可能性
そこそこセキュアなlinuxサーバーを作る - Qiita
先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd
ふつうのformをつかいたい - はまちや２ - ニコニコ超会議2012
こんにちはこんにちは！！ はまちや２ (@Hamachiya2) ブロガー、クラッカー。特技は洗濯、趣味は破壊、苦手なことはプログラミング。 WEB+DB PRESS のお便りコーナー担当。 「はまちちゃん」とかで適当にググってください。 無料で プレミアム機能を 使う方法 見つける時間がありませんでした。 何話そう？ プログラムは苦手だし… セキュリティとか興味ないし… そんなわけで普通のことを話します。 本日のテーマ： 『ふつうのformを使いたい』 <form> 電話番号はハイフン抜きの半角で…（はいはい） フリガナはカナで… (カナで名前を学習してしまうのが嫌だけど…) 郵便番号は前と後ろに分けて… (めんどくさいなぁ…) 住所は全角で… (あーはいはい…) … (できた！) (これで送信、と…) ※エラー：住所を正しく入力してください (え、なんで！？) ※住所は全角で入力してく
プログラマとして30年以上の経験から得た教訓 | POSTD
私は、プログラマとして30年以上仕事をしてきた中で、学んだことがあります。そのいくつかを以下にご紹介します。もっと挙げることもできますよ。 実物を見せないと、顧客の希望は分からない。 このことは最初の仕事で学びました。顧客は、実物を見るまでは、何が本当に必要なのかがよく分かりません。言葉で長々と説明するよりも、機能検証のためのプロトタイプを提示する方が確実に役立ちます。 十分な時間があれば、あらゆるセキュリティは破られる。 現代社会において、セキュリティを保つことは信じられないほどの難題となっています。プログラマは常に完璧を求められますが、ハッカーは1回でもハッキングができれば成功なのです。 セキュリティが破られた場合、事前にその状況に備えた対策を講じているかどうかで結果が変わってくる。 最終的にセキュリティが破られることを想定する場合、その時に起こることに備えて対策を立てておく必要があり
Blog: bashの脆弱性がヤバすぎる件 – x86-64.jp - くりす研
Browse by time: December 2018 (1) December 2016 (1) December 2015 (1) January 2015 (1) September 2014 (2) July 2014 (2) April 2014 (1) February 2014 (1) January 2014 (3) December 2013 (2) September 2013 (3) June 2013 (1) May 2013 (1) April 2013 (1) March 2013 (2) February 2013 (5) やっと更新する気になった。 もくじ 0. 産業で説明 1. 理論編 2. 攻撃編 3. パッチ 4. 結論 0. 産業で説明 bashが アホで 地球がヤバイ 1. 理論編 bashの関数機能は、環境変数の中でも使える仕様になっています
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSL Server Test (Powered by Qualys SSL Labs)
クラウド型Web脆弱性診断ツール「VAddy」
【Internet Week 2014】“未熟なDNS”をDDoSで拷問、「DNS水責め攻撃」が原因らしき実害が日本でも 
SSL Labs - Projects / Public SSL Server Database - SSL Server Test
[PDF] This POODLE Bites: Exploiting The SSL 3.0 Fallback
あなたのハッキングスキルを試すことができる『Game of Hacks』 | 100SHIKI
セキュリティ診断・検査のGMOサイバーセキュリティ byイエラエ